🇰🇷 한글 설명
Keycloak의 인증 세션 관리 과정에서 인증 흐름을 우회할 수 있는 결함이 발견되었습니다. 관리자가 클라이언트 정책을 통해 2단계 인증(2FA)을 강제하더라도, 사용자가 로그인 과정 중 특정 세션 재시작 링크를 수동으로 방문하면 보안 단계 추적 마커가 초기화됩니다. 이로 인해 사용자는 2FA 설정 없이 비밀번호만으로 로그인이 가능해집니다.
💡 쉬운 설명
로그인할 때 반드시 거쳐야 하는 추가 보안 단계(2단계 인증)를 건너뛸 수 있는 보안 허점이 발견되었습니다. 특정 웹 주소를 직접 입력하면 시스템이 보안 단계를 잊어버려 비밀번호만으로 접속이 가능해집니다.
🇺🇸 원문 (English)
A flaw was found in the authentication session management of Keycloak, an identity and access management solution. The issue occurs when an administrator enforces a stronger authentication flow, such as mandatory two-factor authentication (2FA) setup, through a client policy. A user can bypass this requirement by manually visiting a specific session restart web link during the login process. This action clears the internal markers that track the required security steps, allowing the user to log in with only a password and gain access without completing the mandated 2FA setup.
📍 영향받는 시스템
Keycloak (인증 세션 관리 기능이 활성화된 버전)
⚔️ 공격 벡터
로그인 프로세스 중 특정 세션 재시작 웹 링크를 수동으로 호출하여 인증 마커 초기화
🛡️ 대응 방법
Keycloak 보안 패치 적용 및 클라이언트 인증 정책 재검토
🔧 검증 코드
패치 적용 전후의 세션 재시작 링크 접근 시 인증 흐름이 강제되는지 확인
curl -s -I https://<keycloak-server>/auth/realms/<realm-name>/protocol/openid-connect/auth | grep -i 'HTTP/1.1 200 OK'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access